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•Beschreibung 

Steuereinheit zur Auslosung eines .Insassenschutzmittels in 
eineiti Kraf tf ahrzeug und Verfahren zur Uberwachung der ord- 
nungsgemafien Funktion einer vorzugsweise solchen Steuerein- 
. heit 

Die Erfindung betrifft eine Steuereinheit zur Auslosung eines 
"Insassenschutzmittels in einem Kraf tf ahrzeug und ein Verfah- 
ren zur Oberwachung der ordnungsgemaBen Funktion einer vor- 
zugsweise solchen Steuereinheit. Die Steuereinheit umfasst 
dabei eine erste Recheneinheit, eine zweite Recheneinheit und 
eine AuslOseeinheit/ die jeweils asynchron zueinander getak- 
tet sind. Des Weiteren umfasst die Steuereinheit ein erstes 
und ein zweites logisches UND - Gatter. Die erste und die 
zweite Recheneinheit umfassen jeweils eine Pulszahlverglei- 
chereinheit und einen RUcksetzer. 

Jeweils einem logischen UND - Gatter ist eingangsseitig das 
Takt signal der ihm jeweils zugeordneten Recheneinheit zuge- 
fUhrt und des Weiteren das Taktsignal der Ausloseeinheit . Der 
Signalausgang jeweils eines logischen UND - Gatters wird dem 
Eingang der Pulszahlvergleichereinheit jeweils einer Rechen- 
einheit zugeftihrt und der Ausgang der Pulszahlvergleicherein- 
heit dem Eingang des jeweils zugehorigen Rucksetzers einer 
Recheneinheit . 

Der RUcksetzer jeder Recheneinheit ist mit dem Reseteingang 
der jeweils anderen Recheneinheit verbunden, so dass der zu- 
gehOrige RUcksetzer die jeweils andere Recheneinheit dann zu- 
rUcksetzt, wenn die zugehorige Pulszahlvergleichereinheit ei- 
ne unzuiassige Anzahl von Pulsen pro Zeiteinheit im Ausgangs- 
signal des jeweils mit ihr verbiindenen UND - Gatters erkennt. 

In vielen Ansteuerxingssystemen wird heutzutage neben einer 
Hauptrecheneinheit eine weitere Sicherheitsrecheneinheit vor- 
gesehen. Die Sicherheitsrecheneinheit dient dabei zumeist der 
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tJberwachung der ordnungsgemaJJen. Funktionsweise der Hauptre- 
cheneinheit und, bei deren Ausfall, einer ziimindest teilwei- 
sen Obernahme der Rechen- und Ansteuerfunktionen der Hauptre- 
cheneinheit . 

Besonders wichtig ist der Einsatz solcher Sicherheitsrechen- 
einheiten in Verbindung mit einer Hauptrecheneinheit bei An- 
steuerungssystemen, deren Ausfall ziimindest die Gefahr einer 
Verletzung von Personen mit sich bringen wUrde. Ein solches 
sicherheitsrelevantes Ansteuerungssystem ist beispielsweise 
die Steuereinheit zur Ansteuerung eines Insassenschutzmittels 
in einem Kraftf ahrzeug. Dort berechnet die Hauptrecheneinheit 
den Ztlndzeitptankt far die AuslOsung des geeigneten Insassen- 
schutzmittels, das im Falle eines Aufprallunfalls einem Fahr- 
zeuginsassen den bestmSglichen Schutz vor Verletzungen bie- 
tet. Im Anschluss an die Berechnung des besten ZUndzeitpunk- 
tes gibt die Hauptrecheneinheit die Ausiasung des geeigneten 
Insassenschutzmittels, beispielsweise eines Fahrerairbags, 
frei. 

Schon bei einem nur teilweisen Ausfall der Rechenleistung der 
Hauptrecheneinheit kann eine rechtzeitige Ausiasung des ge- 
eigneten Insassenschutzmittels durch die Steuereinheit nicht 
mehr gewShrleistet werden. Aus diesem Grund muss die ent- 
scheidende Funktionalitat der ersten Recheneinheit durch die 
zweite Recheneinheit, die Sicherheitsrecheneinheit, tlbernom- 
men werden. Dazu muss die Sicherheitsrecheneinheit zunachst 
eine mSgliche Fehlfunktion der ersten Recheneinheit erkennen, 
um in einem zweiten Schritt die erste Recheneinheit zurUckzu- 
setzen oder sogar vollstandig abzuschalten und gegebenenf alls 
die Aufgaben der ersten Recheneinheit ziamindest teilweise zu 
tibernehmen- 

Ein solches Zwei-Rechner-System in einer sicherheitsrelevan- 
ten Anwendung in einem Kraf tfahrzeug ist beispielsweise in 
der deutschen Of f enlegungsschrift DE 37 00 986 Al beschrie- 
ben. Die dort gezeigten Prozessoren tlberwachen sich gleichbe-r 



rechtigt . . Dabei gib t jewel Is eine Recherieinheit ein watchdog 
- Signal 33,^ 37 auS/ dass in der jewells anderen Rechenein- 
heit durch eine sogenannte watchdog - Erkennung 14, 22 Uber-- 
prtift wird- Empfangt die jeweils eine Recheneinheit von der 
jeweils anderen Recheneinheit ein fehlerhaftes watchdog - 
Signal 33, 3-5 -so gibt die jeweils ordnungsgemSli arbeitende 
Recheneinheit ein Reset-Signal 40, 36 an die fehlerhafte an- 
dere Recheneinheit aus. 



Die gegenseitige tJberwachnng der korrekten Funktionsweise von 
Recheneinheiten durch eine solche watchdog - Schaltung ist 
jedoch oftmals nur sehr langsam. Gerade bei Insassenschutz- 
systemen ist es jedoch sehr wichtig, eine Fehlfiinktion einer 
Recheneinheit innerhalb einer Steuereinheit eines Insassen- 
schutzsystems sehr schnell und zuverlassig zu erkennen, um 
unverztiglich MaBnahmen zur Begrenzung mbglicher Gefahren fUr 
einen Fahrzeuginsassen einleiten zu kSnnen. 

Die Aufgabe der vorliegenden Erfindung ist es deshalb, die 
notwendigen technischen Voraussetzungen zu schaffen, um eine 
sehr schnelle Erkennung der Fehlfunktion mindestens einer Re- 
cheneinheit innerhalb einer Steuereinheit eines Insassen- 
schutzmittels fur ein Kraft fahrzeug zu schaffen. 

Die Aufgabe wird gelOst durch eine Steuereinheit gemaB An- 
spruch 1, 

Die erf indungsgemaiie Steuereinheit weist neben der Hauptre- 
cheneinheit, der ersten Recheneinheit, auch eine Sicherheits- 
recheneinheit/ die zweite Recheneinheit/ auf sowie eine Aus- 
lOseeinheit zur Ausl5s\ing des InsassenschutzmittelS/ bei- 
spielsweise eines Airbags. Die erste Recheneinheit, die zwei- 
te Recheneinheit und die AuslSseeinheit werden durch einen 
internen oder externen Taktgeber jeweils asynchron zueinander 
getaktet . 
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Dxe erste Recheneinheit umfasst eine erste Pulszahlverglei- 
chereinheit und einen ersten RUcksetzer, die zweite Rechen- 
einheit eine zweite Pulszahlvergleichereinheit und einen 
zweiten Rtlcksetzer. Jeweils zugeordnet zur ersten bzw. zwei- 
ten Recheneinheit weist die Steuereinheit des Weiteren ein 
erstes und ein zweites logisches UND - Gatter auf . 

Dem Eingang des ersten logischen UND - Gatters ist sowohl das 
Taktsignal der ersten Recheneinheit als auch das Taktsignal 
der Ausieseeinheit zugeftihrt, sein Ausgang hingegen ist mit 
dem Eingang der zweiten Pulszahlvergleichereinheit verbunden 
Der Ausgang der zweiten Pulszahlvergleichereinheit ist lait 
einem Eingang des zweiten RUcksetzers verbunden, dessen Aus- 
gang wiederum dem Reset-Eingang der ersten Recheneinheit zu- 
geftihrt ist. 
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Die Beschaltung des ersten logischen UND - Gatters der Steu- 
ereinheit ist derart, dass der zweite RUcksetzer die erste 
Recheneinheit durch Ausgabe eines Reset-Signals zurticksetzt 
wenn die zweite Pulszahlvergleichereinheit eine unzul^ssige' 
Anzahl von Pulsen pro Zeiteinheit im Ausgangssignal des ers- 
ten UND - Gatters erkennt. 

Die Beschaltung des zweiten logischen UND - Gatters ergibt 
sich analog aus der Beschaltung des ersten logischen UND - 
Gatters, wenn man die erste Recheneinheit durch die zweite 
Recheneinheit ersetzt und ebenso die erste gegen die zweite 
Pulszahlvergleichereinheit, den ersten Rtlcksetzer gegen den 
zweiten RUcksetzer und den Reset-Eingang der ersten Rechen- 
einheit gegen den Reset-Eingang der zweiten Recheneinheit. 

Folglich ist die Beschaltung des zweiten UND - Gatters der- 
art, dass der erste Rtlcksetzer die zweite Recheneinheit durch 
die Ausgabe eines Reset-Signals zurticksetzt, wenn die erste 
Pulszahlvergleichereinheit eine unzulSssige Anzahl von Pulsen 
pro Zeiteinheit im Ausgangssignal des zweiten UND - Gatters 
erkennt . 



Als Pulszahlvergleichereihheit einer Recheneinheit der erfin- 
diangsgemafien Steuereinheit wird im Zusainiaenhang vorliegend 
beschriebener Erfindung eine Funktionseinheit bezeichnet, die 
beispielsweise eine Anzahl von High - Pegeln pro Zeiteinheit 
einer Pulsfolge zahlt und mit einem vorher festgelegten Ver- 
gleichswert vergleicht. In Abhangigkeit von diesem Vergleich 
kann die Pulszahlvergleichereinheit unterschiedliche Steuer- 
signale ausgeben. 

Selbstverstandlich konnte eine Pulszahlvergleichereinheit al- 
ternativ auch eine Anzahl von Low - Pegeln oder eine Anzahl 
von Pegelwechseln pro Zeiteinheit einer Pulsfolge zahlen. 

In einer vorteilhaf ten Weiterbildung weist die Steuereinheit 
ein erstes und ein zweites logisches ODER - Gatter auf , wobei 
das zweite ODER - Gatter eingangsseitig mit dem Ausgang des 
zweiten Rtlcksetzers und ausgangsseitig mit dem Reset-Eingang 
der ersten Recheneinheit verbunden ist und entsprechend das 
erste ODER - Gatter eingangsseitig mit dem ersten Rtlcksetzer 
und ausgangsseitig mit dem Reset-Eingang der zweiten Rechen- 
einheit verbunden ist. Dies bietet den Vorteil, dass einem 
jeweils weiteren Eingang der logischen ODER - Gatter weitere 
Reset-Signale anderer Schaltungsteile der Steuereinheit zuge- 
fUhrt werden k5nnen, so dass eine Recheneinheit nicht allein 
durch die Entscheidung der jeweils anderen Recheneinheit zu- 
rtickgesetzt werden kann, sondern auch durch eine weitere Ent- 
scheidung einer weiteren Funktionseinheit der Steuereinheit. 

In einer weiteren vorteilhaf ten Ausftihrungsform ist der erste 
Rtlcksetzer der ersten Recheneinheit oder der zweite Rtlckset- 
zer der zweiten Recheneinheit mit einem Reset-Eingang der 
AuslOseeinheit verbunden. So kann der erste Rtlcksetzer bzw. 
der zweite Rtlcksetzer bei einer f estgestellten Fehlfunktion 
der zweiten bzw. ersten Recheneinheit nicht nur die jeweils 
andere Recheneinheit zurtlcksetzen, sondern auch die AuslOse- 
einheit. Dies bietet eine zusatzliche Sicherheit hinsichtlich 
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einer korrekten Funktionsweise des Insassenschutzsystems, da 
bei einer Fehlfunktion zumindest einer der beiden Rechenein- 
heiten auch sicher die Ausloseeinheit abgeschaltet wird. Da- 
durch wird eine moglicherweise gefShrliche Auslosung des In- 
sassenschutzmittels sicher verhindert. 

Ein besonders hohes Mali an Sicherheit besitzt die Steuerein- 
heit folglich vor allem auch dann, wenn beide Rucksetzer der 
Recheneinheit mit einem Reset-Eingang der Ausloseeinheit ver- 
bunden sind, so dass beide Recheneinheiten ggf . die Ausldse- 
einheit zurticksetzen kOnnen. Weiterhin von Vorteil ist es da- 
bei, wenn die Steuereinheit ein drittes logisches ODER - Gat- 
ter aufweist, das eingangsseitig die Signale der RUcksetzer 
beider Recheneinheiten empf^ngt und ausgangsseitig mit dem 
15 Reset-Eingang der Ausl5seeinheit verbunden ist. 

In einer weiteren vorteilhaf ten Ausftihrungsf orm der Erfindung 
weist die Steuereinheit ein drittes UND - Gatter auf, dem 
eingangsseitig die Taktsignale der ersten und der zweiten Re- 
cheneinheit zugeftihrt sind und dessen Signalausgang sowohl 
der ersten als auch der zweiten Pulszahlvergleichereinh4it 
der ersten bzw. zweiten Recheneinheit zugeftihrt sind. Stellt 
die erste bzw. die zweite Pulszahlvergleichereinheit ein feh- 
lerhaftes Aus gangs signal des dritten UND - Gatters fest, so 
meldet sie die Starung an den ihr jeweils zugeordneten Rtick- 
setzer, der die jeweils andere Recheneinheit und ggf, auch 
die Ausloseeinheit zurtlcksetzt . 



Weiterhin ist es von Vorteil, wenn die Steuereinheit eine so- 
genannte erste watchdog - Schaltung aufweist. DafUr ist ein 
erster watchdog - Eingang der Ausloseeinheit mit einem watch- 
dog - Ausgang der ersten Recheneinheit verbunden und ein Re- 
cheneinheitsrucksetzungsausgang der AuslSseeinheit direkt o- 
der mittelbar mit der ersten Recheneinheit. Stellt die Auslo- 
seeinheit einen Fehler im watchdog - Signal des watchdog - 
Ausgangs der ersten Recheneinheit fest, so gibt die Auslose- 
einheit ein RecheneinheitsrUcksetzungssignal direkt oder mit- 



telbar an.die erste Recheneinheit aus. Eine solche redundahte 
Sicherheitsschaltung in Form einer ersten watchdog - Schal- 
tung erhoht zusStzlich die sichere Abschaitung einer fehler- 
haft arbeitenden ersten Recheneinheit innerhalb der Steuer- 
einheit d^s Insassenschutzsysteias . 

Eine analoge zweite watchdog - Schaltung fUr die RUcksetzung 
einer fehlerhaften zweiten Recheneinheit durch die Auslose- 
einhe'i't"~bringt zusatzliche Sicherheit^ vor~allem dann, wenn 
die zweite Recheneinheit gleichberechtigt zum Funktionieren 
des Sicherheitssystems beitragt- 

Ein zur Losung der Aufgabe geeignetes Verfahren ist im unab-: 
hangigen Patentanspruch 7.angegeben. 

Das erf indungsgemafie Verfahren dient zur tJb^rwachung der ord- 
nungsgemSBen Funktion einer erf indungsgemaBen Steuereinheit 
zur AuslGsung eines Insassenschutzmittels in einem Kraftfahr- 
zeug. Der Ablauf eines solchen erf indungsgemaBen Verfahrens 
ist anhand der weiter oben in ihrem funktionellen Zusammen- 
hang erlauterten Merkmale einer erf indungsgemaBen Vorrichtung 
bereits ausreichend beschrieben. Um an dieser Stelle Wieder- 
holungen zu vermeiden^ soil hier nur auf die erf indungsgema- 
Ben Verf ahrensmerkmale eingegangen werden, die uber den Rah- 
men des bereits Geschilderten hinausgehen. 

Zum Beispiel ist es unerheblich ftir ein erf indungsgemaBes 
Verfahren, auf welche Art die Taktsignale der beiden Rechen- 
einheiten und der AuslOseeinheit zu verschiedentlich mitein- 
ander logisch verkntipften Signalen kombiniert werden/ Bei der 
oben beschriebenen erf indungsgemaBen Vorrichtung wird eine 
solche logische Verlcntipfungs funktion tlber logische Und - Gat- 
ter erreicht/ die - wie auch die ebenfalls offenbarten Oder - 
Gatter - sowohl als elektrische Bauelemente ausgestaltet sein 
k5nnen/ aber auch als Prograramabiauf e innerhalb eines Mikro- 
prozessors. Entscheidend fUr ein erf indungsgemaBes Verfahren 
ist es vielmehr/ dass eine logische Verkntipfung der genannten 
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Taktsignale so erfolgt, dass eine Pulsfolge erzeugt wird, die 
nachfolgend durch Zahlen der Einzelpulse und Vergleichen des 
ermittelten Werts mit einem Sollwert insofern bewertet werden 
kann, ob eine der getakteten Funktionseinheiten der sie ent- 
haltenden Steuereinheit funktionsgerecht arbeitet oder nicht. 

Vorteilhafterweise werden die als fehlerhaft identif izierten 
Funktionseinheiten dabei zumindest einmal zurUckgesetzt, da- 
mit-einer fehlerhaft arbeitenden Funktionseinheit der Steuer- 
einheit durch einen Neustart Gelegenheit gegeben wird, einen 
vorgesehenen Betriebszustand zu erreichen. Kann ein solcher 
ordnungsgemafier Betriebszustand nach einem einmaligen oder 
mehrmaligen ZurUcksetzen der Funktionseinheit nicht herbeige- 
fiihrt werden, so wird zumindest der fehlerhafte Teil des 
Steuergerats deaktiviert und, falls mbglich, durch eine ande- 
re Funktionseinheit des Steuergerats ersetzt. Ggf. wird die 
gesamte Steuereinheit deaktiviert. 

Die teilweise oder vollstandige Deaktivierung des Steuerge- 
rats des Insassenschutzsystems wird dann einem Fahrzeuginsas- 
sen entsprechend angezeigt, beispielsweise durch das Auf- 
J.euchten einer Warnlampe, tiblicherweise in der Fahrzeugarma- 
tur. 

Im Folgenden wird die Erfindung anhand von mehreren Ausftih- 
rungsbeispielen beschrieben. 

Es zeigen: 

Figur 1 eine erfindungsgemaBe Steuereinheit mit zwei UND - 

Gattern (ANDl, AND2) , 
Figur 2 eine erfindungsgemaBe Steuereinheit mit drei UND - 

Gattern (ANDl, AND2, J\ND3) , 
Figur 3 ein schematisches Lauf zeitdiagramm der Taktsignale 

(clkl, clk2, clk3) der ersten und der zweiten Re- 

cheneinheit (Rl, R2) sowie der AuslOseeinheit (AE) 



und den daraus ■'zusammengesetzten Taktsignalen * 
(clkl3, clk23, clkl2) am Ausgang des ersteh, 
zweiten und dritten UND - Gatters (ANDl, AND2, 

AND3), 

Figur 4 ein schematisches Lauf zeitdiagramm der Taktsignale 
(clkl, clk2) der ersten und der zweiten Rechenein — 
heit (Rl/ R2) und des zugehorigen Ausgangssignals 
(clkl2) des dritten UND - Gatters (AND3) bei syn- 
chroner Taktmrg der beiden Recheneinheiten (Rl, "RZ) 
und 

Figur 5 eine schematische Entscheidungsmatrix zur Zuruck- 
setzung der Recheneinheiten (Rl, R2) oder der Aus- 
lOseeinheit (AE) einer erf iridungsgemafien Steuerein- 
heit. 

Figur 1 zeigt eine erf indungsgemafie Steuereinheit mit einer 
ersten und zweiten Recheneinheit Rl, R2 \ind einer Ausl5seein- 
heit AE sowie einem ersten und einem zweiten UND - Gatter 
ANDl, AND2 und einem ersten, zweiten und dritten ODER - Gat- 
ter ORl, OR2, OR3, 

Dem ersten Signaleingang des ersten UND - Gatters ANDl ist 
das Taktsignal clkl der ersten Recheneinheit Rl zugefUhrt. 
Dem zweiten Signaleingang des ersten UND - Gatters ANDl ist 
das Taktsignal clk3der Ausloseeinheit AE zugeftihrt. Am Sig- 
nalausgang des ersten UND - Gatters ANDl liegt ein logisches 
Sxommensignal clkl3 der beiden eingangsseitig zugeftihrten 
Taktsignale clkl und clk3 vor, das einer Pulszahlvergleiche- 
reinheit PZVE2 der zweiten Recheneinheit R2 zugeftihrt wird. 
Der Signalausgang der zweiten Pulszahlvergleichereinheit 
PZVE2 ist mit einem zweiten RUcksetzer RES2 innerhalb der 
zweiten Recheneinheit R2 verbunden. Der zweite Rtlcksetzer 
RES2 ist ausgangsseitig mit einem Signaleingang des zweiten 
ODER - Gatters 0R2 verbunden. Der Signalausgang des zweiten 
ODER - Gatters 0R2 wiederum ist mit dem ersten Reset-Eingang 
RESETl der ersten Rechnereinheit Rl verbunden. 




Analog zur Beschaltung des ersten UND - Gatters ANDl ist auch 
das zweite UND - Gatter beschaltet. Dem ersten Signaleingang 
des zweiten UND - Gatters AND2 ist das Taktsignal cl]c2 der 
zweiten Recheneinheit R2 zugeftihrt, seinem zweiten Signalein- 
gang ebenfalls das Taktsignal clk3 der Ausieseeinheit AE Das 
Ausgangssignal clk23 des zweiten logischen UND - Gatters AND2 
ist ein logisches Summensignal der beiden eingangsseitig zu- 
geftihrten Taktsignale clk2 und clk3 und ist der ersten Puls- 
zahlvergleichereinheit PZVEl der ersten Recheneinheit Rl" zu- 
geftihrt. Die erste Pulszahlvergleichereinheit PZVEl fuhrt ein 
Ausgangssignal zum ersten Rticksetzer RESl, der ausgangsseitig 
mit dem Signaleingang des ersten ODER - Gatters ORl verbunden 
ist. Der Signalausgang des ersten ODER - Gatters ORl ist dem 
Reset-Eingang RESET2 der zweiten Recheneinheit R2 zugeftihrt. 

Ein jeweils zweiter Signalausgang des ersten RUcksetzers RESl 
bzw. des zweiten Rtlcksetzers RES2 ist mit jeweils einem Sig- 
naleingang eines dritten ODER - Gatters 0R3 verbunden. Der 
Signalausgang des dritten ODER - Gatters OR3 ist mit einem 
Reset-Eingang RESETAE der AuslOseeinheit AE verbunden. 

Des Weiteren ist von einem watchdog - Ausgang WDl der ersten 
Recheneinheit Rl ein erstes watchdog - Signal wdl einem ers- 
ten watchdog - Eingang AEl der Ausloseeinheit AE zugeftihrt. 
Analog ist auch ein zweites watchdog - Signal wd2 von einem 
zweiten watchdog - Ausgang WD2 der zweiten Recheneinheit R2 
einem zweiten watchdog - Eingang AE2 der Ausieseeinheit AE 
zugeftihrt. 



SchlieBlich ist noch ein Recheneinheitsrticksetzungsausgang 
SAE der AuslOseeinheit AE mit den jeweils zweiten Signalein- 
gangen des ersten ODER - Gatters ORl und des zweiten ODER - 
Gatters OR 2 verbunden. 

Die in der Figur 1 dargestellte Schaltung funktioniert wie 
folgt : 



Das erste UND - Gatter ANDl erzeugt . ausgangsseitig ein modi- 
f iziertes Taktsignal clkl3 aus den ,beiden eingangsseitig zu- 
geftihrten Taktsignalen der ersteh Recheneinheit clkl und des 
Taktsignals der Ausloseeinheit clk3 . Wie in Figur 3 darge- 
stellt weist das Aus gangs signal clkl3 des ersten UND - Gat- 
ters ANDl nur dann einen logischen High - Pegel auf , wenn die 
eingangsseitig zugefiihrten Taktsignale clkl und clk3 gleich- 
zeitig ebenfalls einen logischen High - Pegel aufweisen. Da 
""iia' dargiestellten Ausftihrungsbeispiel'iaer "Figur 3 das Taktsig- 
nal clkl der ersten Recheneinheit Rl mit einer Taktfrequenz 
von beispielsweise 1 kHz eine wesentlich grofiere Taktperiode 
als das Taktsignal clk3 der Ausloseeinheit AE mit einer Takt- 
frequenz von beispielsweise 50 kHz besitzt, weist das modifi- 
zierte Taktsignal clkl3 eine wiederkehrende Pulsfolge mit ei- 
ner Periode des ersten Taktsignals clkl ant, mit Einzelpulsen 
innerhalb der Pulsfolgen mit einer Periodizitat des Taktsig- 
nals clk3 der Ausloseeinheit AE. 

Je nach Verschiebung der Taktperioden der beiden Taktsignale 
clkl und clk3 zueinander weist das Aus gangs signal clkl3 des 
ersten UND - Gatters ANDl eine feste Anzahl von Einzelpulsen 
pro Periodendauer auf . Im Beispiel der Figur 3 weist das 
Taktsignal clkl3 beispielsweise zwischen 49 und 50 High - Pe- 
gel - Pulse pro Pulsfolgen - Periodendauer auf. 

Bei synchroner Taktung der beiden taktsignale clkl und clk3 
ware die Anzahl der Einzelpulse innerhalb einer Pulsfolge pro 
Zeiteinheit immer gleich. Ein entsprechender Fall ist bei- 
spielsweise in der Figur 4 ftir die beiden Taktsignale clkl 
und clk2 mit Taktf requenzen von beispielsweise 1 kHz bzw. 2 
kHz dargestellt. 

Die zweite Pulszahlvergleichereinheit PZVE2 der zweiten Re- 
cheneinheit R2 zahlt die Anzahl von Einzelpulsen im Ausgangs- 
signal clkl3 des ersten UND - Gatters ANDl und vergleicht 
diesen Wert mit einem Vergleichswert, der in der zweiten Re- 
cheneinheit R2 hinterlegt ist, beispielsweise in einem RAM - 




Speicher. Weicht die ermittelte Anzahl von Pulsen im Aus- 
gangssignal clkl3 des ersten UND - Gatters ANDl von diesem 
gespeicherten Wert in unzuiassiger Weise ab, so aktiviert die 
zweite Pulszahlvergleichereinheit PZVE2 den zweiten Rtickset- 
zer RES2, der ein zweites Reset-Signal sr2 ilber das zweite 
ODER - Gatter 0R2 an den Reset-Eingang RESETl der ersten Re- 
cheneinheit Rl ausgibt. Dadurch wird die erste Recheneinheit 
Rl elektrisch zurUckgesetzt . 

In dem gezeigten Ausftihrungsbei spiel der Figur 1 kann wahl- 
weise gleichzeitig der zweite Rticksetzer RES2 ein weiteres 
Rllcksetziangssignal sae2 tiber das dritte ODER - Gatter 0R3 an 
die Ausiaseeinheit AE weitergeben, wodurch auch die Ausl6se- 
einheit AE in ihren elektrischen Ausgangszustand zurtickge- 
setzt wird. 

Im zurtlckgesetzten Zustand kann ein an die AuslQseeinheit AE 
angeschlossene Insassenschutzmittel weder gesteuert durch die 
erste Recheneinheit Rl noch aktiviert durch die AuslQseein- 
heit AE ausgelSst werden. 

Nach dem Zurticksetzen der ersten Recheneinheit Rl. und der 
AuslQseeinheit AE durchlaufen beide einen Funktionshochlauf , 
wahrend dessen die voile Funktionalitat der beiden Funktions- 
einheiten Rl und AE innerhalb des Steuergerats des Insassen- 
schutzmittels wieder vollstandig hergestellt wird. Erst nach 
erfolgtem und erfolgreichem Funktionshochlauf beider Funkti- 
onseinheiten Rl und AE kann das an die AuslfSseeinheit AE an- 
geschlossene Insassenschutzmittel ggf . wieder ausgelQst wer- 
den. 

Stent allerdings die zweite Pulszahlvergleichereinheit PZVE2 
der zweiten Recheneinheit R2 wiederum eine Fehlfunktion ent- 
weder der ersten Recheneinheit Rl oder der AuslOseeinheit AE 
anhand des Ausgangs signals clkl3 des ersten UND - Gatters 
ANDl fest, so werden die beiden Funktionseinheiten Rl und AE 
abermals zurUckgesetzt oder auf Dauer deaktiviert. 



Eine dauerhafte Deaktivierung der ersten Recheneinheit Rl o- 
der der Ausloseeinheit AE des Insassenschutzmittels wird da- 
bei tiblicherweise dem Fahrzeughalter durch eine sogenannte 
Airbagwarnlampe in der Fahrzeugarmatur angezeigt. 

Die Funktionsweise der Beschaltung des zweiten UND - Gatters 
AND2 ergibt sich vollig analog aus der Funktion der Beschal- 
tung des ersten-^UND ^ Gatters ANDl : 

Das zweite UND - Gatter AND2 erzeugt ausgangsseitig ein modi- 
fiziertes Taktsignal clk23 aus den beiden eingangsseitig zu- 
geftihrten Taktsignalen clk2 der zweiten Recheneinheit R2 und 
des Taktsignals clk3 der AuslOseeinheit AE. Wie im Falle des 
ersten UND - Gatters ANDl weist das Ausgangssignal clk23 des 
zweiten UND - Gatters AND2 nur dann einen logischen High- 
Pegel auf, wenn die eingangsseitig zugeftihrten Taktsignale 
clk2 und clkS auch gleichzeitig einen logischen High-Pegel 
aufweisen, Ublicherweise ist auch hier die Periode des zwei- 
ten Taktsignals clk2 kleiner als die Periode des Taktsignals 
clk3 der Ausloseeinheit AE. Deshalb treten auch im Ausgangs- 
signal des zweiten UND - Gatters clk23 Pulsfolgen auf , die 
rait der langsameren Periode des Taktsignals der zweiten Re- 
cheneinheit clk2 moduliert sind und je nach Periodenverschie- 
bung der beiden zusainmengefagten Taktsignale clk2 und clk3 
eine in einem engen Toleranzrahmen feste Anzahl von Einzel- 
pulsen pro Zeiteinheit aufweisen. 

Die erste Pulszahlvergleichereinheit PZVEl der ersten Rechen- 
einheit Rl zahlt die Anzahl von Einzelpulsen im Ausgangssig- 
nal clk23 des zweiten UND - Gatters AND2 und vergleicht den 
ermittelten Wert mit einem weiteren Vergleichswert, der in 
der ersten Recheneinheit Rl hinterlegt wurde^ beispielsweise 
in einem Ramspeicher. Weicht die ermittelte Anzahl von Pulsen 
im Ausgangssignal clk23 des zweiten UND - Gatters AND2 von 
diesem weiteren Vergleichswert ab^ so aktiviert in diesem 
Fall die erste Pulszahlvergleichereinheit PZVEl den ersten 
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Racksetzer RESl, der ein Reset-Signal srl tiber das erste ODER 

Gatter ORl an den Reseteingang RESET2 der zweiten Rechen- 
einheit R2 ausgibt. Dadurch wird die zweite Recheneinheit R2 
durch die erste Recheneinheit Rl elektrisch zuriickgesetzt . 

In dem gezeigten AusfUhrungsbei spiel der Figur 1 kann eben- 
falls gleichzeitig der erste Rticksetzer RESl ein Rtickset- 
zungssignal sael tlber das dritte ODER - Gatter 0R3 an die 
Ausieseeinhel-t AE weitergeben, wodurch auch die A-usloseein- 
heit AE in ihren elektrischen Ausgangszustand zurtlckgesetzt 
wird. 
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Im tibrigen gilt im gezeigten Ausftihrungsbeispiel der Figur 1 
ftir das Zurucksetzen der zweiten Recheneinheit R2 und der 
AuslSseeinheit AE durch den ersten RUcksetzer RESl und einen 
dadurch veranlassten erneuten Funktionshochlauf dieser beiden 
Funktionseinheiten in vollig analoger Weise das fUr das Zu- 
rticksetzen der ersten Recheneinheit Rl und der Ausloseeinheit 
AE durch den zweiten Rticksetzer RES2 und den dadurch veran- 
lassten erneuten Funktionshochlauf der ersten Recheneinheit 
Rl und der AuslQseeinheit AE bereits beschriebene . 

Entsprechend wird auch eine dauerhafte Deaktivierung der ers- 
ten Recheneinheit Rl oder der AuslSseeinheit AE des Insassen- 
schutzmittels dabei dem Fahrzeughalter durch eine sog. Air- 
bagwarnlampe in der Fahrzeugarmatur angezeigt. 

Um die Sicherheit im Erkennen mOglicher Fehlfunktionen des 
Steuergerates des Insassenschutzmittels weiter zu erhShen, 
ist in der dargestellten erf indungsgemSflen Steuereinheit eine 
zusatzliche Funktionstlberwachung der ersten Recheneinheit Rl 
durch die Ausieseeinheit AE mit Hilfe einer sogenannten ers- 
ten watchdog - Schaltung WDSl realisiert: 

Die erste Recheneinheit Rl gibt dabei in periodischen Zeitab- 
standen ein erstes watchdog - Signal wdl an die Ausiaseein- 
heit AE aus. Beim Ausbleiben des erwarteten watchdog - sig- 



nals wdl am watchdog - Signalelngang J^l gibt die AuslSseein- 
heit AE ein Recheneinheitsrticksetzimgssignal sae von ihrem 
Signalausgang SAE an den zweiten Signalelngang sowohl der 
ersten ODER - Elnheit ORl als auch. der zweiten ODER - Einheit 
0R2 auS/ wodurch sowohl die erste Recheneinheit Rl liber den 
ersten Reset-Eingang RESETl als auch die zweite Recheneinheit 
R2 iiber den zweiten Reset-Eingang RESET2 zuriickgesetzt wird. 

Alternativ kann auch eine Schaltuirgsanordnung verwendet wer- 
den, bei der der Signalausgang SAE der Ausl6seeinheit AE 
nicht mit dent zweiten Signalelngang der ersten ODER - Einheit 
ORl verbunden ist. Folglich gibt die AuslOseeinheit AE dann 
das Recheneinheitsrtlcksetzungssignal sae lediglich an den 
zweiten Signalelngang der zweiten ODER - Einheit OR2/ so dass 
so dass im Fehlerfall der ersten watchdog-Schaltung WDSl nur 
die erste Recheneinheit Rl Uber den ersten Reset-Eingang 
RESETl zurtickgesetzt wird. 

In jedem Fall kannen durch die erste watchdog - Schaltung 
WDSl ggf . zusatzliche Fehler in der ersten Recheneinheit Rl 
erkannt werden, die dem Aus gangs signal clkl3 des ersten UND - 
Gatters ANDl nicht entnommen werden kSnnen, 

In entsprechender Weise wie im Falle der ersten Recheneinheit 
Rl eine Uberwachung durch die erste watchdog-Schaltung WDSl 
erfolgt wird in Figur 1 auch die zweite Recheneinheit R2 von 
der Ausloseeinheit AE durch eine zweite watchdog - Schaltung 
WDS2 tiber eine Verbindung des zweiten watchdog - Ausgangs WD2 
mit einem zweiten watchdog - Eingang AE2 der AuslOseeinheit 
AE und unter Zuhilfenahme eines periodischen watchdog - Sig- 
nals wd2 tiberwacht. Analog zur ersten watchdog-Schaltung WDSl 
setzt die AuslSseeinheit AE im Falle der zweiten watchdog- 
Schaltung WDS2 der Figur 1 bei einem unzulSssigen watchdog- 
Signal wd2 die zweite Recheneinheit R2 als auch die erste Re- 
cheneinheit Rl durch das RecheneinheitsrUcksetzungssignal sae 
zurtick . 
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Alternativ ist jedoch auch eine Schaltungsanordnung denkbar, 
bei der der Signalausgang SAE der AuslSseeinheit AE nicht wie 
in der Figur 1 gezeigt mit beiden Oder - Gattern ORl und 0R2 
verbunden ist, sondern nur mit dem zweiten Signaleingang der 
ersten ODER - Einheit ORl. Folglich gibt dann die Ausloseein- 
heit AE das Recheneinheitsracksetzungssignal sae lediglich an 
den zweiten Signaleingang der ersten ODER - Einheit ORl aus 
so dass im Fehlerfall der zweiten watchdog-Schaltung WDS2 nur 
die zweite Recheneinheit R2-uber den zweiten Reset-Eingang 
RESET2 zurtickgesetzt wird. 

Auch die zweite watchdog - Schaltung WDS2 kann auf diese Wei- 
se ggf . Fehler der zweiten Recheneinheit R2 erkennen, die dem 
Ausgangssignal clk23 des zweiten UND - Gatters AND2 nicht 
entnommen werden kOnnen. 

Bei ein- oder mehrmaligem Zurticksetzen mindestens einer der 
beiden Recheneinheiten Rl oder R2 durch mindestens eine der 
beiden watchdog-Schaltungen WDSl und WDS2 wird eine Warnlampe 
im Fahrzeuginneren als Hinweis auf eine mOgliche Fehlfunktion 
der Steuereinheit ftlr das Insassenschutzsystem an den Fahr- 
zeughalter aktiviert. • 

Wie im gezeigten Beispiel der Figur 1 kSnnen die beiden 
watchdog - Schaltungen WDSl und WDS2 gleichzeitig verwendet 
werden. Es ist aber ebenso mOglich, nur eine der beiden 
watchdog - Schaltungen WDSl oder WDS2 innerhalb der erfin- 
dungsgemafien Steuereinheit vorzusehen, die jeweils aber der- 
art verschaltet ist, dass sie mindestens eine der beiden Re- 
cheneinheiten Rl und R2 und wahlweise auch die AuslSseeinheit 
AE zurQcksetzen kann. 

Figur 2 zeigt die erfindungsgemafle Steuereinheit aus Figur 1, 
jedoch erweitert urn ein drittes UND - Gatter AND3. Dem drit-' 
ten UND - Gatter AND3 sind eingangsseitig die Taktsignale 
clkl und clk2 der ersten Recheneinheit Rl und der zweiten Re- 
cheneinheit R2 zugefilhrt. Am Signalausgang des dritten UND - 



Gatters AND3 liegt eiri Ipgisches Svunmensignal clk23 der bei- 
den Taktsignale clkl und clk2 der beiden Recheneinheiten Rl 
und R2 vor, das einem jeweils zweiten Signaleingang der ers- 
ten Pulszahlvergleichereinheit PZVEl xind der zweiten Puls- 
zahlvergleichereinheit PZVE2 zugeftihrt wird. Der jeweilige 
Signalausgang der ersten bzw. zweiten Pulszahlvergleicherein- 
heit PZVEl bzw. PZyE2 ist mit dem ersten Riacksetzer RESl bzw. 
dem zweiten RUcksetzer RES2 verbunden. 

Ein erstes Ausgangssignal srl des ersten RUcksetzers RESl der 
ersten Recheneinheit Rl wird einem Eingang der ersten ODER - 
Einheit ORl zugeftihrt. Der Signalausgang der ersten ODER - 
Einheit ORl ist itiit dem zweiten Reseteingang RESET2 verbun- 
den, wie bereits weiter oben erwahnt. Analog ist ein Signal- 
ausgang sr2 des zweiten RUcksetzer s RES2 der zweiten Rechen- 
einheit R2 mit einem Signaleingang des zweiten ODER - Gat- 
ters 0R2 verb\anden. Der Signalausgang des zweiten ODER - Gat- 
ters OR2 ist mif dem ersten Reseteingang RESETl der ersten 
Recheneinheit Rl verbvmden, wie ebenfalls bereits weiter oben 
beschrieben. 

Das Ausgangssignal des dritten UND - Gatters clkl2 wird in 
ganz ahnlicher Weise ausgewertet wie die beiden Ausgangssig- 
nale der beiden anderen UND - Gatter ANDl und AND2: 

Die erste Pulszahlvergleichereinheit PZVEl zShlt die Anzahl 
der empfangenen Pulse im Ausgangssignal clkl2 des dritten UND 
- Gatters AND3 und vergleicht die Anzahl der empfangenen Pul- 
se pro Zeiteinheit mit einem vorher festgelegten Wert, der 
beispielsweise in einem Ramspeicher der ersten Recheneinheit 
Rl gespeichert ist. Weicht dieser Wert Uber ein vorher fest- 
gelegtes zulSssiges HSchstmcifi hinaus von dem gespeicherten 
Wert ab, so aktiviert die erste Pulszahlvergleichereinheit 
PZVEl den ersten Rtlcksetzer RESl, der die zweite Rechenein- 
heit Rl mittelbar Uber das erste ODER - Gatter ORl zurUck- 
setzt . 
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Ebenso ermittelt die zweite Pulszahlvergleichereinheit PZVE2 
die Anzahl der empfangenen Pulse im Ausgangssignal clkl2 des 
dritten UND - Gatters AND3 und gibt bei einer als unzulassig 
erkannten Anzahl von Einzelpulsen pro Zeiteinheit die Akti- 
vxerung des zweiten RQcksetzers RES2 frei, der daraufhin die 
erste Recheneinheit Rl luittelbar tiber das zweite ODER - Gat- 
ter 0R2 zurticksetzt . 

GleicHzeitig mit dem Zuriicksetzen der ersten Recheneinheit Rl 
Oder der zweiten Recheneinheit R2 kann im Ausftihrungsbei spiel 
der Figur 2 tiber das dritte ODER - Gatter 0R3 ein ZurUckset- 
zen der AuslSseeinheit AE veranlasst werden. 

Durch Hinzuftlgen des dritten tJND - Gatters AND3 kOnnen sich 
die Recheneinheiten Rl und R2 folglich gegenseitig zurtickset- 
zen, wenn mindestens eines der Taktsignale einer der beiden 
Recheneinheiten Rl oder R2 gestOrt ist. Im Gegensatz zu einem 
Zurucksetzen mindestens einer der beiden Recheneinheiten Rl 
Oder R2 und wahlweise auch der AuslSseeinheit AE aufgrund der 
Signale clkl3 und clk23 des ersten UND - Gatters ANDl und des 
zweiten UND - Gatters AND2 kann also durch die Auswertung des 
Ausgangssignals clkl2 des dritten UND - Gatters AND3 vOllig 
unabhangig von dem Taktsignal clk3 der Ausloseeinheit AE ein 
Zurucksetzen der Recheneinheiten Rl und R2 und vorzugsweise 
25 auch der Ausloseeinheit AE erfolgen. 

Figur 5 zeigt zusammengefasst eine mogliche Entscheidungsmat- 
rix, nach der die beiden Recheneinheiten Rl, r2 und die Aus- 
leseeinheit AE der erfindungsgemSfien Steuereinheit nach Figur 
30 2 zurUckgesetzt werden kOnnen: 

Eine in die Matrix eingetragene Null bedeutet eine ordnungs- 
gemaBe Funktionsweise der Taktsignale clkl, clk2, clk3, der 
logisch UND-verkntlpften Taktsignale clkl3, clkl2, clk23 und 
35 auch eine ordnungsgemafie Funktionsweise der ersten Rechenein- 
heit Rl, der zweiten Recheneinheit R2 und der AuslOseeinheit 
AE. Ein in die Entscheidungsmatrix eingetragenes X bedeutet 



im Gegensatz dazu ein f ehlerhaf tes Taktsignal clkl,- clk2, 
clkSoder ein f ehlerhaf tes zusaiamengesetztes Taktsignal 
clkl3, clkl2 und clk23/ bzw. ein fehlerhaftes Funktionieren 
der ersten Recheneinheit Rl, der zweiten Recheneinheit R2 6- 
der der AuslOseeinheit AE. 

Die in den letzten drei Zeilen eingetragenen Pfeile zeigen 
mit ihren Spitzen auf diejenigen Recheneinheiten Rl und R2 o- 
der auf die Ausl6seeinheiir"KE/ "die von der Recheneinheiten Rl' 
Oder R2 bzw. von der Ausloseeinheit AE am Ausgangspunkt des 
Pfeils zurUckgesetzt wird. 

Die Spalten der Ents.cheidungsmatrix der Figur 5 sind deianach 
folgendenaafien zu lesen: 

In der Spalte 1 funktionieren alle Taktsignale clkl, clk2, 
clk3, clkl3/ clkl2 und clk23 ordnungsgemafi/ da auch die be- 
teiligten Recheneinheiten Rl, R2 und die AuslSseeinheit AE 
ordnungsgemafi arbeiten. 

In der zweiten Spalte ist ein fehlerhaftes Taktsignal clk3 
der Ausloseeinheit AE eingetragen. Folglich sind auch die 
kombinierten Taktsignale clklS und clk23 fehlerhaft. Die ord- 
nungsgemafi funktionierende erste Recheneinheit Rl, aber auch 
die ordnungsgemafi funktionierende zweite Recheneinheit setzen 
in diesem Fall die f ehlerhaf te Ausloseeinheit AE zurtlck. 

In der dritten Spalte ist das Taktsignal clk2 der zweiten Re- 
cheneinheit R2 f ehlerhaf t. Folglich sind auch die daraus ab- 
geleiteten Taktsignale clkl2 und clk23 f ehlerhaf t. In dieser 
Konstellation wilrde die ordnungsgemafi funktionierende erste 
Recheneinheit Rl die fehlerhafte Recheneinheit R2 zurttckset- 
zen. Die Ausloseeinheit AE funktioniert in diesem Fall zwar 
fehlerfrei/ doch kOnnte sie aufgrund der in der Figur 2 ge- 
zeigten Schaltungsanordnung tlber das dritte UND - Gatter e- 
benfalls durch die erste Recheneinheit Rl zurUckgesetzt wer- 
den. 
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in spalte 4 funktioniert lediglich die erste Recheneinheit R 
ordnungsgemafi und setzt folglich die fehlerhafte zweite Re- 
cheneinheit R2 und die fehlerhafte AuslSseeinheit AE zurtick. 

Analog setzt die in Spalte 6 ordnungsgemaJi funktionierende 
zweite Recheneinheit R2 die fehlerhafte erste Recheneinheit 
Rl und die fehlerhafte AuslOseeinheit AE zurtick. 



in spalte 5 funktioniert neben der Ausloseeinheit AE auch di 
zweite Recheneinheit R2 bestimmungsgemafi . Da die Erkennung 
einer fehlerhaft funktionierenden ersten Recheneinheit Rl 
durch die zweite Recheneinheit R2 erf indungsgemSfi schneller 
zur Verftigung steht als die Rticksetzungsfunktion der Auslose- 
exnheit AE aufgrund der ersten watchdog - Schaltung WDSl aus 
der Figur 1 oder 2, setzt die fehlerfrei funktionierende 
zweite Recheneinheit R2 zunSchst die fehlerhafte erste Re- 
cheneinheit Rl zurtick und erst in einem zweiten Schritt und 
mittelbar tiber das dritte ODER - Gatter 0R3 wahlweise auch 
die Ausl6seeinheit AE. 

Es bleiben noch die beiden Sonderfalle der Spalten 7 und 8 zu 
eriautern: 

Den ersten Sonderfall der Entscheidungsmatrix zeigt Spalte 7 
Hxer arbeitet nur die AuslSseeinheit AE erwartungsgemaJi . Ein 
Zurticksetzen der beiden Recheneinheit en Rl und R2 erfolgt 
deshalb aufgrund der beiden watchdog - Schaltungen WDSl und 
WDS2, tiber die die Ausloseeinheit AE die Fehlfunktion der 
beiden Recheneinheiten Rl und R2 erkennen kann und deshalb 
das Reset - Signal sae zu deren ZurUcksetzung ausgibt. 

in spalte 8 funktioniert keine der Recheneinheiten Rl oder R2 
ordnungsgemafi und ebenso wenig die Ausl6seeinheit AE. Dieser 
Fehler der Steuereinheit stellt einen Dreifachfehler dar und 
1st deshalb sehr unwahrscheinlich. Ftir diesen Fall kann das 
Verhalten der Schaltung nicht vorhergesagt werden. 



. Patehtansprtlche 



1 . Steuereinheit zur AuslOsung eines Insassenschutzmittels in 
einem Kraf tf ahrzeug, 

die eine erste Recheneinheit (Rl) und eine zweite Rechenein- 
heit (R-2) lomfasst und des Weiteren eine AuslQseeinheit (i\E) , 
wobei.die erste Recheneinheit (Rl) / die zweite Recheneinheit 
{R2) und die AuslQseeinheit (AE) jeweils asynchron zueinander 
* getaXfet sind, . ' 
dadurch g e k e n n z e i c h n e t , dass 

- die Steuereinheit ein erstes und ein zweites logisches UND 
- Gatter (ANDl, AND2) umfasst, 

- die erste Recheneinheit (Rl) der Steuereinheit eine erste 
Pulszahlvergleichereinheit (PZVEl) und einen ersten Rtick- 
setzer (RESl) aufweist, 

- die zweite Recheneinheit (R2) der Steuereinheit eine zwei- 
te Pulszahlvergleichereinheit (PZVE2) und einen zweiten 
Rticksetzer (RES2) aufweist/ 

- dem ersten logischen UND - Gatter (ANDl) eingangsseitig 
sowohl das Taktsignal (clkl) der ersten Recheneinheit (Rl) 
als auch das Taktsignal (clk3) der AuslQseeinheit (AE) zu-r 
geftlhrt ist/ ; 

- ein Ausgang (Clkl3) des ersten logischen UND - Gatters . . 
(ANDl) mit einem Eingang der zweiten Pulszahlvergleiche- 
reinheit (PZVE2) verbunden ist, 

- ein Ausgang der zweiten Pulszahlvergleichereinheit (PZVE2) 
mit einem Eingang des zweiten Rticksetzers (RES2) verbunden 
ist, 

- ein Ausgang des zweiten Rticksetzers (RES2) direkt oder 
mittelbar mit einem Reset - Eingang (RESETl) der ersten 
Recheneinheit (Rl) verbunden ist, 

und 

- dem zweiten logischen UND - Gatter (AND2) eingangsseitig 
sowohl das Taktsignal (clk2) der zweiten Recheneinheit 
(R2) als auch das Taktsignal (clk3) der AuslQseeinheit 
(AE) zugeftlhrt ist. 
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- ein Ausgang (Clk23) des zweiten logischen UND - Gatters 
{AND2) mit einem Eingang der ersten Pulszahlvergleiche- 
reinheit (PZVEl) verbunden ist, 

- ein Ausgang der ersten Pulszahlvergleichereinheit (PZVEl) 
mit einem Eingang des ersten RUcksetzers (RESl) verbunden 
ist, 

- ein Ausgang des ersten Riicksetzer (resI) direkt oder mit- 
telbar mit einem Reset - Eingang (RESET2) der zweiten Re- 
Cheneinheit (R2) verbunden ist, 

so dass 

- der erste Rticksetzer (RESl) die zweite Recheneinheit (R2) 
durch die Ausgabe eines ersten Resetsignals (srl) zurtick- 
setzt, wenn die erste Pulszahlvergleichereinheit (PZVEl) 
eine unzulassige Anzahl von Pulsen pro Zeiteinheit im Aus- 
gangssignal des zweiten UND - Gatters (AND2) erkennt und 

- der zweite Rticksetzer (RES2) die erste Recheneinheit (Rl) 
durch Ausgabe eines zweiten Resetsignals (sr2) zurtick- 
setzt, wenn die zweite Pulszahlvergleichereinheit (PZVE2) 
eme unzulassige Anzahl von Pulsen pro Zeiteinheit im Aus- 
gangssignal des ersten UND - Gatters (ANDl) erkennt. 

2. Steuereinheit nach Anspruch 1, 
dadurch g e k e n n z e i c h n e t , dass 

- die Steuereinheit ein erstes und ein zweites logisches 
ODER - Gatter (ORl, OR2) aufweist, 

- ein Ausgang des zweiten RUcksetzers (RES2) mittelbar iiber 
das zweite ODER - Gatter (0R2) mit dem Reset - Eingang 
(RESETl) der ersten Recheneinheit (Rl) verbunden ist, 

- em Ausgang des ersten Rtlcksetzers (RESl) mittelbar tiber 
das erste ODER - Gatter (ORl) mit dem Reset - Eingang 
(RESET2) der zweiten Recheneinheit (R2) verbunden ist, 

SO dass 

- der erste Rticksetzer (RESl) die zweite Recheneinheit (R2) 
durch die Ausgabe eines ersten Resetsignals (srl) mittel- 
bar tiber das erste ODER - Gatter (ORl) zurticksetzt, wenn 
die erste Pulszahlvergleichereinheit (PZVEl) eine unzulSs- 



sige Anzahl vori Pulsen pro Zeiteinheit im Ausgangssignal . 
(clk23) des. zweiten UND - Gatters (AND2) erkennt und 
- der zweite Rucksetzer (RES2) die erste Recheneinheit (Rl) 
durch Ausgabe eines zweiten Resetsignals (sr2) mittelbar 
tlber das zweite ODER - Gatter (0R2) zurUcksetzt, wenn die 
zweite Pulszahlvergleichereinheit (PZVE2) eine unzulcissige 
Anzahl von Pulsen pro Zeiteinheit iia Ausgangssignal 
(clkl3) des ersten UND - Gatters (ANDl) erkennt. 



3. Steuereinheit nach Anspruch 1 oder 2, 
dadurch g e k e n n z e i c h n e t / dass 

- der erste Rticksetzer (RESl) und/oder der zweite Riicksetzer 
(RES2) mit einem Reset - Eingang (RESETAE) der Ausl6seein- 
heit (AE) direkt oder mittelbar verbunden ist, 

so dass 

- der erste Rticksetzer (RESl) die AuslSseeinheit (AE) durch 
Ausgabe eines ersten AuslOser - Reset - Signals (sael) zu- 
rtlcksetzt, wenn die erste Pulszahlvergleichereinheit 
(PZVEl) eine unzuiassige Anzahl von Pulsen pro Zeiteinheit 
im Ausgangssignal {clk23) des zweiten UND - Gatters {AND2) 
erkennt und/oder 

- der zweite Rucksetzer (RES2) die Ausloseeinheit (AE) durch 
Ausgabe eines zweiten Ausloser - Reset - Signals (sae2) 
zurUcksetzt/ wenn die zweite Pulszahlvergleichereinheit 
(PZVE2) eine unzuiassige Anzahl von Pulsen pro Zeiteinheit 
im Ausgangssignal {clkl3) des ersten UND - Gatters (ANDl) 
erkennt . 

4. Steuereinheit nach einem der Ansprtiche 1 bis 3^ 
dadurch g e k e nn z e i c h n e t / dass 

- die Steuereinheit ein drittes logisches UND - Gatter 
(AND3) aufweistr 

- dem dritten logischen UND - Gatter (iy^D3) eingangsseitig 
das Takt signal (clkl) der ersten Recheneinheit (Rl) und 
das Taktsignal (clk2) der zweiten Recheneinheit (R2) zuge- 
fUhrt sind/ 
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- das Ausgangssignal (clkl2) des dritten logischen UND - 

Gatters (AND3) sowohl mit einem Eingang der ersten Puls- 

zahlvergleichereinheit (PZVEl) als auch mit einem Eingang 

der zweiten Pulszahlvergleictiereinheit (PZVE2) verbunden 
ist, 

so dass 

- der erste RUcksetzer (RESl) die zweite Recheneinheit (R2) 
durch Ausgabe eines ersten Resetsignals (srl) zurticksetzt, 
wenn die erste -Pulszahlvergleichereinheit (PZVEl) elne un- 
zuiassige Anzahl von Pulsen pro Zeiteinheit im Ausgangs- 
signal (clkl2) des dritten UND - Gatters (AND3) erkennt 
\and 

- der zweite RUcksetzer (RES2) die erste Recheneinheit (Rl) 
durch Ausgabe eines zweiten Resetsignals (sr2) zurtick- 
setzt, wenn die zweite Pulszahlvergleichereinheit (PZVE2) 
eine unzulassige Anzahl von Pulsen pro Zeiteinheit im Aus- 
gangssignal (clkl2) des dritten UND - Gatters (AND3) er- 
kennt . 



5. Steuereinheit nach einem der vorherigen AnsprUche, 
dadurch g e k e n n z e i c h n e t , dass 

- ein watchdog - Eingang der Ausieseeinheit (AEl) mit einem 
ersten watchdog - Ausgang (WDl) der ersten Recheneinheit 
(Rl) verbunden ist, 

- ein RecheneinheitsrUcksetzungsausgang (SAE) der AuslSse- 
einheit direkt oder mittelbar iiber das zweite ODER - Gat- 
ter (0R2) mit dem Reseteingang (RESETl) der ersten Rechen- 
einheit (Rl) verbunden ist, 

so dass 

die AublSseeinheit (AE) ein Recheneinheitsrticksetzungssignal 
(sae) direkt oder mittelbar tlber das zweite ODER - Gatter 
{0R2) an den Reset - Eingang (RESETl) der erste Recheneinheit 
(Rl) ausgibt, wenn die AuslOseeinheit (AE) ein unzulassiges 

watchdog - Signal (wdl) vom ersten Oberwachungsausgang (WDl) 

empf angt . 



6. Steuereinheit nach einem der vorherigen AnsprUche, 



dadurch g e k e n n z e i c h n e t /. . dass 

- ein Signaleingang der Ausl6seeinheit (AE) mit einem zwei- 
ten watchdog - Ausgang (WD2) der zweiten Recheneinheit 
{R2) verbunden ist, 

- der Recheneinheitsrtlcksetzungsausgang (SAE) der Auslose- 
einheit (AE) . direkt Oder mittelbar— tiber das erste ODER ~ 
Gatter (ORl) mit dem Reset - Eingang (RESET2) der zweiten 

. Recheneinheit (R2) verbunden istr 
SO' dass 

die Ausloseeinheit (AE) das Recheneinheitsriicksetzungssignal 
(sae) direkt oder mittelbar tiber das erste ODER - Gatter 
(ORl) an den Reset - Eingang der zweiten Recheneinheit 
(RESET2) ausgibt, wenn die AuslOseeinheit (AE) ein unzulassi- 

ges zweites watchdog - Signal (wd2) vom zweiten watchdog - 

Ausgang (WD2) empfangt. 

7. Verfahren zur tJberwachung der ordnungsgemalien Funktion ei- 
ner Steuereinheit, vorzugsweise einer Steuereinheit gemafi* ei- 
nem der Ansprtiche 1 bis 6^ 
dadurch g e k e n n z e i c h n e t / dass 

- aus den beiden Taktsignalen (clkl, clk3) einer ersten Re- 
cheneinheit (Rl) und einer Ausloseeinheit (AE) durch eine 
erste Logikverkntipfung (ANDl) ein erstes verknUpftes Sig- 
nal (clkl3) erzeugt wird, 

- eine zweite Recheneinheit (R2) wahrend eines Zeitfensters 
die Anzahl von Pulsen des ersten verknUpften Signals 
(clkl3) zahlt, 

- die zweite Recheneinheit {R2) die Anzahl der gezahlten 
Pulse mit einem zweiten Referenzwert vergleicht^ der im 
Speicher der zweiten Recheneinheit (R2) hinterlegt ist und 

- die zweite Recheneinheit (R2) ein Rtlcksetzungs signal an 
eineri ersten Reseteingang (RESETl) der ersten Rechenein- 
heit (Rl) ausgibt, wenn die Anzahl der gezahlten Pulse ti- 
ber ein zuiassiges MaB hinaus von dem zweiten Referenzwert 
des Speichers der zweiten Recheneinheit (R2) abweicht. 



8. Verfahren nach Anspruch 1, 
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dadurch g e k e n n 2 e i c h n e t , dass 

- aus den beiden Taktsignalen (clk2, clk3) der zweiten Re- 
cheneinheit (R2) und der Ausloseeinheit (AE) durch eine 
zweite Logikverkntipfxmg (AND2) ein zweites verknUpftes 
Signal (clk23) erzeugt wird, 

- die erste Recheneinheit (Rl) wahrend eines Zeitfensters 
die Anzahl von Pulsen des zweiten verkntipften Signals 
(clk23) zahlt, 

- die erste Recheneinheit (Rl) die Anzahl der gezahlten Pul- 
se mit einem ersten Referenzwert vergleicht, der im Spei- 
cher der ersten Recheneinheit (Rl) hinterlegt ist und 

- die erste Recheneinheit (Rl) ein Racks etzungs signal an ei- 
nen zweiten Reseteingang (RESET2) der zweiten Rechenein- 
heit (R2) ausgibt, wenn die Anzahl der gezahlten Pulse U- 
ber ein zuiassiges Mafl hinaus von dem ersten Referenzwert 
abweicht. 



9. Verfahren nach einem der Ansprilche 7 oder 8, 
dadurch g e k e n n z e i c h n e t , dass 

- die erste Recheneinheit (Rl) die Auslbseeinheit (AE) durch 
Ausgabe eines ersten Ausldser - Reset - Signals (sael) zu- 
rucksetzt, wenn die erste Recheneinheit. (Rl) eine unzuias^ 
sige Anzahl von Pulsen pro Zeiteinheit im zweiten ver- 
kntipften Signal (clk23) erkennt und/oder 

- die zweite Recheneinheit (R2) die AuslSseeinheit (AE) 
durch Ausgabe eines zweiten AuslOser - Reset - Signals 
(sae2) zurticksetzt, wenn die zweite Recheneinheit (R2)eine 
unzuiassige Anzahl von Pulsen pro Zeiteinheit im ersten 
verkntipften Signal (clkl3) erkennt. 

10. Verfahren nach einem der Ansprtiche 7 bis 9, 
dadurch g e k e n n z e i c h n e t , dass 

- aus den beiden Taktsignalen (clkl, clk2) der ersten Re- 
cheneinheit (Rl) und der zweiten Recheneinheit (R2) durch 
eine dritte Logikverkntipfung (AND3) ein drittes verkntipf- 
tes Signal (clkl2) erzeugt wird. 



sowohl die erste Recheneinheit (Rl) als auch die zweite 
Recheneinheit (R2) wahrend eines Zeitfensters die Anzahl 
von Pulsen des dritten verkntipften Signals (clkl2) zShlt/ 
sowohl die erste Recheneinheit (Rl) als auch die zweite 
Recheneinheit (R2) die Anzahl der gezahlten Pulse mit je 
einem Ref erenzwert vergleicht, der im Speicher der- ersten 
Recheneinheit (Rl) bzw. im Speicher der zweiten Rechenein- 
heit (R2) hinterlegt ist, 

die erste Rechieneinheit (Rl) die zweite Recheneinh-ext (R2) 
durch Ausgabe eines ersten Resetsignals (srl) zurticksetzt, 
wenn die erste Recheneinheit (Rl)- eine unzulassige Anzahl 
von Pulsen pro Zeiteinheit im dritten verkntipften Signal 
(clkl2) durch den Vergleich mit dem jeweiligen Ref erenz- 
wert erkeimt und 

- die zweite Recheneinheit (R2) die erste Recheneinheit (Rl) 
durch Ausgabe eines zweiten Resetsignals (sr2) zurtick- 
setzt, wenn die zweite Recheneinheit (R2) eine unzulassige 
Anzahl von Pulsen pro Zeiteinheit im dritten verkntipften 
Signal (clkl2) durch den Vergleich mit dem jeweiligen Re- 
f erenzwert erkennt, 

11. Verfahren nach einem der Anspruche 8 bis 10, > 
dadurch g e k e n n z e i c h n e t / dass 

- einem ersten tJberwachungseingang (AEl) der Ausloseeinheit 
(AE) ein erstes watchdog - Signal (wdl) von einem ersten 
Oberwachungsausgang (WDl) der ersten Recheneinheit (Rl) 
zugeftihrt wird und daraufhin 

- ein Recheneinheit srticksetzungsausgang (SAE) der Auslose- 
einheit (AE) ein Recheneinheitsrticksetzungssignal (sae) an 
den ersten Reset - Eingang (RESETl) der ersten Rechenein- 
heit (Rl) ausgibt/ wenn das erste watchdog - Signal (wdl) 
unzuiassig ist 

und/ Oder 

- einem zweiten Uberwachungseingang (AE2) der Ausl6seeinheit 
(AE) ein zweites watchdog - Signal (wd2) vom zweiten Uber- 
wachungsausgang (WD2) der zweiten Recheneinheit (R2) zuge- 
ftihrt. wird und daraufhin 
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- der Recheneinheitsrticksetzungsausgang (SAE) der AuslOse- 
einheit (AE) das Recheneinheitsracksetzungssignal (sae) an 
den zweiten Reset - Eingang (RESET2) der zweiten Rechen- 
einheit (R2) ausgibt, wenn das zweite watchdog - signal 
(wd2) unzulassig ist. 

12 Verfahren nach einem der Anspruche 7 bis 11, 
gekennzeichnet dadurchi, dass 

eine der belden Recheneinheiten (Rl, R2) der Steuereinheit 
eines Insassenschutzsystems eines Kraf tfahrzeuges nach ein - 
Oder mehrmaligem Rticksetzen der jeweils anderen Recheneinheit 
(Rl, R2) Oder der AuslSseeinheit (AE) das Insassenschutzsys- 
tem zumindest teilweise deaktiviert und/oder dem Fahrzeugin- 
sassen die Fehlfunktionen der Steuereinheit und die zumindest 
teilweise Deaktivierung des Insassenschutzmittels anzeigt. 




Zusammenf asisung 

Die Erfindung betrifft eine Steuereinheit ziir Auslosung eines 
Insassenschutzmittels in einem Kraf tf ahrzeug land ein Verfah- 
ren zur Oberwachung der. ordnungsgemaBen Funktion einer Vor- 
zugsweise solchen Steuereinheit-. -Die Steuereinheit uiafasst 
dabei eine erste und eine zweite Recheneinheit (Rl, .R2) sowie 
eine Ausloseeinheit (AE) . Mehrere logische UND - Gatter 
(ANDl^ AND2; AND3) sind eingan-gs'seitig mit den Taktsignalen 
(clkl, clk2, clk3) der ihnen jeweils zugeordneten Rechenein- 
heiten (Rl, R2) bzw. der Ausloseeinheit (AE) verbunden. Der 
Signalausgang jeweils eines logischen UND - Gatters (ANDl, 
AND2; AND3) wird einer jeweils zugeordneten Pulszahlverglei- 
chereinheit (PZVEl, PZVE2) zugeftihrt, deren jeweiliger Sig- 
nalausgang wiederum einem Eingang eines jeweils zugeordneten 
Rtlcksetzers (RESl, RES2) . 

Ein Rticksetzer (RESl, RES2) jeweils einer Recheneinheit (Rl/L 

*( 

R2) setzt die jeweils andere Recheneinheit (Rl/ R2) iitmer 
dann zurQck, wenn die ihia jeweils zugeordnete Pulszahl- ; 
vergleichereinheit (PZVEl, PZVE2) eine unzulSssige Anzahl von 
Pulsen pro Zeiteinheit im Ausgangssignal (clkl3, clk23, 
clk23) des jeweiligen UND - Gatters (ANDl, AND2; AND3) er- \ 
kennt . . • - 
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